반도체 전문 온라인 매거진 - 올포칩

글로벌 사이버 보안 리더 카스퍼스키(www.kaspersky.co.kr 지사장 이효은)는 오늘, 북한 해킹 그룹 블루노로프(BlueNoroff)의 최신 가상자산 탈취 작전인 '스내치크립토(SnatchCrypto)'의 일환으로 진행된 ‘고스트콜(GhostCall)’ 및 ‘고스트하이어(GhostHire)’ 캠페인에 대한 심층 분석 리포트를 발표했다. 블루노로프(BlueNoroff)는 가상자산을 탈취하기 위해 단순히 지갑을 노리는 수준을 넘어, 타깃의 화상 회의, 채용 과정, 심지어 챗GPT 계정까지 포함한 ‘디지털 업무 환경 전체’를 장악하는 정교한 공격을 펼치고 있는 것으로 나타났다. 

이번 분석 리포트는 해커들의 공격 방식, 목적, 사용 기술 등을 수집·분석하여 사이버 위협에 선제적으로 대응할 수 있도록 돕는 정보 분석 체계인 위협 인텔리전스 분야에서, 해외 벤더사 중 유일하게 카스퍼스키만이 보유한 '북한 전문 한국인 연구원'이 직접 작성한 분석 결과물이다.  카스퍼스키 연구진은 2025년 4월부터 이 두 캠페인을 추적해 왔으며, 최신 공격 기법과 새롭게 발견된 악성코드 체인을 이번 리포트를 통해 상세히 공개했다. 

블루노로프는 Web3 및 블록체인 분야의 핵심 인사를 타깃으로 삼아 다음과 같은 파괴적인 수법을 동원하고 있다.

• 신뢰의 무기화: 과거 피해자의 실제 화상 회의 영상을 재활용해 라이브 회의인 것처럼 속여 보안 경계심을 완전히 무너뜨린다.
• 인프라 통째 장악: 가상자산 지갑뿐만 아니라 이메일, 텔레그램, 클라우드 설정, 심지어 AI 서비스 계정까지 탈취하여 타깃의 모든 자산 접근 권한을 손에 넣는다.
• 철저한 보안 우회: macOS의 핵심 보안 체계인 TCC를 무력화하고, 10,000줄의 빈 코드로 백신을 기만하는 등 기술적으로 매우 정교한 악성코드 체인을 사용한다.

고스트콜(GhostCall): 가짜 화상회의를 통한 macOS 타겟팅 "라이브 화상회의인 줄 알았는데" — 피해자 영상으로 새로운 피해자 발생.

2023년 중반부터 활동해 온 고스트콜 캠페인은 초기 윈도우 중심에서, 표적 그룹이 주로 사용하는 macOS 환경으로 공격 방향을 전환했다. 공격자들은 벤처캐피털 투자자나 기업가로 위장해 텔레그램을 통해 표적에 직접 접근한 뒤, 정교하게 위조된 Zoom 회의 링크를 전달한다. 실제 기업인이나 스타트업 창업자의 계정을 탈취해 접근하거나, Calendly를 통해 미팅을 예약하는 방식도 활용한다. 

딥페이크가 아닌 '실제 녹화 영상' 악용: 표적이 가짜 회의 사이트에 접속하면, AI나 딥페이크로 만든 가짜 영상이 아닌 공격자가 과거 다른 피해자들로부터 몰래 녹화한 '실제 영상'이 재생된다. 피해자의 웹캠 영상은 무단 녹화되어 공격자 서버에 업로드된 뒤, 또 다른 피해자를 속이는 데 재활용된다. 영상 재생이 끝나면 피해자 본인의 프로필 이미지로 자연스럽게 전환되어 실시간 통화의 환상을 유지한다. 

Zoom 소프트웨어 업데이트로 위장한 악성코드 배포: 영상 재생 약 3~5초 후 시스템 오류 메시지가 나타나며, 'Zoom SDK 업데이트' 설치를 유도한다. 여기서 SDK(Software Development Kit)란 소프트웨어 개발에 사용되는 도구 모음으로, 공격자들은 일반 사용자에게 친숙한 'Zoom SDK 업데이트'라는 가짜 알림을 내세워 악성코드 다운로드를 유도했다. 클릭 시 배포되는 악성 파일의 종류는 운영체제에 따라 다르다.

• macOS: Apple의 macOS 환경에서 작업 자동화에 쓰이는 프로그래밍 언어인 AppleScript를 악용한 'Zoom SDK Update.scpt' 파일이 다운로드된다. 공격자는 보안 제품의 탐지를 피하기 위해 이 파일 내부에 약 10,000줄의 빈 줄을 삽입해 악성 코드를 숨겼다.
• Windows: 정상 도메인의 코드처럼 보이는 팝업(ClickFix 기법)이 표시되며, 복사 시도 시 악성 코드가 클립보드에 저장된다. 

macOS 핵심 보안 시스템(TCC) 우회: 표적 시스템이 macOS 11(Monterey) 이상일 경우, 시스템 임시 폴더(/private/tmp)에 가짜 앱을 설치한다. 이후 macOS의 핵심 개인정보 보호 시스템인 TCC(Transparency, Consent, and Control)를 무력화한다. TCC는 어떤 앱이 카메라, 마이크, 또는 문서·다운로드 폴더에 접근하려 할 때 반드시 사용자 동의를 구하도록 설계된 macOS의 보안 장치다. 공격자는 TCC 디렉토리 이름을 임의로 변경하고 내부 데이터베이스를 직접 조작하는 방식으로 이 시스템을 우회해, 사용자 동의 없이 카메라·마이크·개인 문서(Documents, Downloads, Desktop 등)에 대한 접근 권한을 탈취했다. 

피해자 행동까지 실시간 추적 — 클릭 하나하나가 공격자 서버에 보고: 카스퍼스키는 공격자가 피싱 페이지 내에 비콘 기능을 구현해 피해자의 행동을 실시간으로 추적하는 것도 확인했다.

Zoom에서 Microsoft Teams로 — 공격 플랫폼도 진화 중: 카스퍼스키는 2025년 9월부터 해당 공격 그룹이 가짜 화상회의 플랫폼을 Zoom에서 Microsoft Teams로 전환하여 공격을 시도하는 정황을 포착했다. 악성코드 배포 방식(피싱 페이지 경유)은 동일하게 유지된다.

고스트하이어(GhostHire): 기술역량 평가를 위장한 공격, "코딩 테스트 30분 안에 제출하세요" — 채용 면접이 해킹의 출발점

고스트하이어 캠페인은 고스트콜보다 노출이 적었으나, 마찬가지로 2023년 중반부터 시작됐다. 화상통화 대신 가짜 채용 담당자를 내세워 Web3 개발자와 엔지니어를 표적으로 삼으며, 기술 역량 평가를 빙자해 악성 코드가 포함된 GitHub 저장소를 실행하도록 유도한다. 카스퍼스키는 텔레그램과 GitHub를 활용하는 현재의 공격 흐름이 늦어도 2025년 4월부터 시작된 것으로 분석했다. 

공격자는 텔레그램에서 미국 금융 서비스 기업의 시니어 채용 담당자로 위장하며, 텔레그램 프리미엄 계정과 기업 로고가 포함된 커스텀 이모티콘 스티커를 활용해 신뢰감을 높인다. 피해자를 텔레그램 봇에 추가한 후, 해당 봇이 악성 ZIP 파일 또는 GitHub 링크를 전달하며, 약 30분의 시간 제한을 부여해 코드 검증 여유 없이 빠른 실행을 유도하는 심리전을 펼친다. 

전달되는 프로젝트는 Go 언어로 작성된 DeFi 관련 합법적 프로젝트로 위장되어 있으며, 프로젝트 자체 코드가 아닌 go.mod 파일 내 외부 의존성으로 악성 패키지를 참조하는 방식으로 탐지를 회피한다. 카스퍼스키는 오픈소스 패키지 모니터링 도구를 통해 블루노로프가 공식 Go 패키지 저장소에 배포한 악성 패키지 다수를 발견했다. 

Go 패키지 외에도 TypeScript로 작성된 악성 Next.js NFT 관련 프론트엔드 프로젝트가 GitHub에서도 발견됐다. 

비밀번호부터 ChatGPT 계정까지, 피해자의 디지털 자산 전부를 쓸어가는 정교한 악성코드 체인

카스퍼스키는 이번 조사에서 최소 7개의 다중 구성 요소 감염 체인과 키로거, 정보 탈취 스틸러 스위트를 새롭게 확인했다. 공격자들은 악성코드를 한 번에 실행하지 않고 여러 단계로 분리해 침투시키는 모듈화 방식을 활용한다. 각 단계는 역할에 따라 분담되는데, 드로퍼는 진짜 악성코드를 시스템에 몰래 '심는' 역할을, 런처는 이를 실행하는 역할을, 인젝터는 악성 페이로드를 정상 프로세스의 메모리에 직접 주입하는 역할을 맡는다. 이처럼 역할을 잘게 쪼개는 구조는 보안 제품의 탐지를 어렵게 만든다. 

틀리면 다시 묻는다 — 비밀번호 검증까지 하는 가짜 Zoom 앱(ZoomClutch / TeamsClutch): Swift로 작성된 macOS 자격증명 수집 악성코드로, Zoom 앱 아이콘과 Apple 비밀번호 프롬프트를 정교하게 모방한 UI를 구현했다. macOS 14.5 환경에서 Xcode 16 beta 2를 사용해 macOS 15.2 SDK 기반으로 제작됐으며, 탈취한 비밀번호를 서버로 전송하기 전에 피해자 PC 내에서 먼저 비밀번호 정확성을 검증(Apple Open Directory 활용)하는 치밀함을 보인다. 입력된 모든 비밀번호는 ~/Library/Logs/keybagd_events.log에 기록된다.

• DownTroy v1 체인 macOS의 작업 자동화 언어인 AppleScript를 최종 페이로드로 활용하며, 런처와 드로퍼는 Go 언어로 작성됐다. 내부 설정 파일 해독을 위해 25바이트의 하드코딩된 RC4 암호화 키(NvZGluZz0iVVRGLTgiPz4KPCF)를 사용한다.
• CosmicDoor 체인 C++로 작성된 인젝터 'GillyInjector'를 통해 최종적으로 Nim 언어로 작성된 악성코드를 정상 프로세스 메모리에 직접 주입한다. 복호화 키 생성 시 PBKDF2 알고리즘으로 10,000번의 반복 연산을 수행하며 분석을 어렵게 만든다. 카스퍼스키는 CosmicDoor.macOS의 개발 순서를 Go(Windows) → Rust → Python → Nim(최신) 순으로 분석했다. 

AWS·솔라나·ChatGPT까지 — SilentSiphon의 광범위한 정보 탈취: CosmicDoor에 의해 다운로드되는 SilentSiphon은 총괄 역할의 upl.sh를 포함해 총 6개의 bash 스크립트 모듈로 구성된다. 

특히 secrets.sh 모듈은 openai 폴더를 표적으로 삼아 피해자의 계정으로 ChatGPT를 몰래 사용하는 기능까지 포함하고 있다. 

해킹에도 AI를 쓴다 — GPT-4o로 프로필 사진 조작, 악성 스크립트도 AI가 작성

카스퍼스키는 블루노로프가 공격 전반에 걸쳐 생성형 AI를 적극 활용하고 있음을 확인했다.

• 프로필 이미지 생성: 가짜 화상통화의 참가자 프로필 이미지 일부는 GPT-4o로 보정·생성된 것으로 확인됐다. OpenAI가 생성 이미지에 C2PA 표준 메타데이터를 삽입하기 때문에 파일 메타데이터를 통해 합성 여부를 확인할 수 있었다.
• 악성 스크립트 작성: SilentSiphon의 secrets.sh 모듈에서 생성형 AI가 작성한 것으로 추정되는 체크마크 이모티콘 주석이 발견됐다. 위협 행위자가 실제 공격용 악성코드에 이모티콘 주석을 삽입하는 경우는 극히 드물어 AI 활용이 강력히 의심된다.
• 공격 효율 향상: AI 활용으로 새로운 프로그래밍 언어 도입 속도가 빨라지고, 보안 제품의 탐지·분석이 더욱 어려워지고 있다. 

피해 국가: 일본·이탈리아·프랑스·싱가포르 등 9개국 피해 확인

카스퍼스키 텔레메트리에 따르면, 고스트콜 캠페인의 피해자는 2023년 이후 일본, 이탈리아, 프랑스, 싱가포르, 터키, 스페인, 스웨덴, 인도, 홍콩 등 다수 국가에서 확인됐다. 고스트하이어 캠페인의 피해자는 금년 캠페인 재개 이후 일본과 호주에서 식별됐다. 피해자 대부분은 APAC 지역(특히 싱가포르, 홍콩)의 Web3·블록체인 업계 테크 기업 및 벤처캐피털 임원들이었다. 

카스퍼스키는 인프라, 악성코드, 공격 방식, 최종 표적, 공격 동기를 종합적으로 고려해 중간-높음 신뢰도로 블루노로프를 두 캠페인의 배후로 지목했다. 

카스퍼스키 이효은 한국지사장은 "이번 고스트콜·고스트하이어 캠페인 분석은 카스퍼스키가 글로벌 위협인텔리전스 기업 중 유일하게 보유한 북한 전문 한국인 연구원에 의해 수행된 정교한 분석 보고서라는 점에서 큰 의미가 있다. 블루노로프는 가짜 화상회의와 위장 채용 면접이라는 정교한 사회공학 기법에 생성형 AI까지 결합해 공격 성공률을 지속적으로 높이고 있다. Web3·블록체인 업계 종사자라면 텔레그램을 통한 갑작스러운 투자 제안이나 채용 제안, 특히 짧은 시간 내 코드 실행을 요구하는 상황에서 각별한 주의가 필요하다"라고 말했다.

■ 카스퍼스키 제품 탐지 정보

카스퍼스키 제품은 이번 공격에 사용된 악성코드를 다음 진단명으로 탐지한다.

HEUR:Trojan-Spy.OSX.ZoomClutch.a / HEUR:Backdoor.OSX.RooTroy.a / HEUR:Backdoor.OSX.CosmicDoor.a / HEUR:Trojan-Dropper.OSX.GillyInjector.a / HEUR:Trojan.OSX.Nimcore.a / HEUR:Trojan-Downloader.OSX.Bluenoroff.a / HEUR:Trojan.HTML.Bluenoroff.a / HEUR:Trojan.OSX.BlueNoroff.gen 등

전체 침해지표(IoC) 및 심층 분석 내용은 카스퍼스키 인텔리전스 리포팅 서비스를 통해 제공된다. (문의: intelreports@kaspersky.com)